Компания по безопасности Phorion утверждает, что измененная версия расширения Anthropic « Claude Code », предназначенного для редакторов, совместимых с Visual Studio Code, могла установить SSH-бэкдор на компьютеры разработчиков. По данным издателя Cursor, распространившего эту версию, до 5000 пользователей могли быть затронуты.
Вредоносный пакет под номером 2.1.313 появился на Open VSX, платформе расширений с открытым исходным кодом, управляемой фондом Eclipse. Издатели, такие как Cursor и Windsurf, которые основаны на коде Visual Studio Code, полагаются на этот магазин, поскольку магазин по умолчанию, Visual Studio Marketplace от Microsoft, зарезервирован для его собственных продуктов. Никаких вредоносных версий там не обнаружено. По данным Cursor, измененная версия оставалась доступной в его магазине около 11 часов 29 октября 2026 года.
Скрытый доступ, установленный на машине
Anthropic — американская компания, специализирующаяся на ИИ, флагманским продуктом которой является Claude, серия больших языковых моделей (LLM). Вредоносный код не был разработан компанией. По данным Cursor, он был добавлен в версию расширения, которая не принадлежала ей.
По данным Phorion, вредоносная нагрузка добавляет SSH-ключ атакующего в авторизованные ключи машины. SSH — это безопасный протокол удаленного подключения: авторизованный ключ позволяет подключаться к компьютеру без пароля. Затем программное обеспечение открывает туннель к серверу атакующего, который таким образом может повторно подключиться к машине. Туннель остается активным после закрытия редактора, и программное обеспечение пытается восстановить соединение примерно каждые 60 секунд. Оно также устанавливает механизмы, позволяющие ему пережить перезагрузку на Mac, Linux и Windows.
По данным Phorion, расширение передает на сервер атакующего имя машины, имя пользователя, операционную систему, рабочий каталог, адрес электронной почты Git и публичный IP-адрес. Оно также отправляет имена, но не значения, до 40 переменных окружения, которые похожи на ключи, токены, пароли или идентификаторы AWS и GCP. «Этот список предоставляет оператору инвентарь хостов, содержащих облачные учетные данные или токены API», — подчеркнул генеральный директор Phorion Кэлам Холл.
В macOS ключ работает только в том случае, если служба SSH активна, что часто не так. Phorion приписывает это ограничение неисправной проверке скрипта, но уточняет, что это не является защитой. «Пользователю не нужно взаимодействовать с расширением, чтобы активировалась вредоносная нагрузка», — добавил Кэлам Холл.
Ответ Cursor
В уведомлении о безопасности Cursor указывает, что он удалил вредоносную версию, в качестве меры предосторожности закрыл свой магазин, провел аудит доступа и обновил свои ключи. Компания заявляет, что не нашла других измененных расширений. Она работала с поставщиком облачных услуг, на котором размещался сервер атакующего, чтобы отключить его, что прервало туннель и передачу данных. Cursor восстановил свой магазин и вернул его в работу «после того, как убедился, что больше нет никакого риска», — заявила компания в X.
Cursor также утверждает, что, насколько ему известно, никакие другие версии расширения или официальная дистрибуция не были затронуты. По данным издателя, для активации SSH требуются права администратора, которые расширение не получает на большинстве машин Mac и Windows, что ограничило бы доступ атакующего к этим системам.
Проверки, которые необходимо выполнить
Phorion предупреждает, что удаление расширения не удаляет бэкдор. Cursor указывает, что вредоносная нагрузка размещает автономные скрипты, которые продолжают выполняться. Поэтому любой, кто установил или обновил расширение до версии 2.1.313, должен проверить, содержит ли его файл авторизации SSH-ключей запись с названием «svc-telemetry». Cursor опубликовал команды для проверки, а также скрипты очистки для macOS и Windows. Обе компании также поделились индикаторами компрометации.
